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Veolia conçoit et déploie des solutions de gestion de l'eau, des 
déchets et de l'énergie, participant au développement durable des 
villes et des industries. 


À Gestion du cycle global de l'eau, 
I= de la production et de la distribution d'eau potable à la 


collecte, au traitement et au recyclage des eaux usées. 
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"e Liquide et solide non dangereux et dangereux 
fa gestion des déchets 


: Notre expertise couvre l'ensemble du cycle de vie des 
WASTE déchets, de la collecte au recyclage. á la valorisation 
finale des déchets en matériaux ou en énergie 


22 Efficacité énergétique, gestion efficace des 
réseaux de chauffage et de refroidissement, 


la production d'énergie verte a la valorisation finale 
ENERGY des déchets sous forme de matériaux ou d’énergie 


Evolution IT de Veolia AA 
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MAOL 


A ON 140,000 users 

à 90,000 video meetings/mth 
> 100M docs in Drive 
60,000 Mngd Mobiles 


\ 5,000 Chromebooks 
| #DataCenterLess 
#SecurebyDesign 
VEOLIA rege 
90% Full Chromebook 


Full Web & Mobile 


MAOD 


90,000 users 
2,000 video meetings/mth 
5M docs in Drive 


G Suite 6,000 Mngd Mobile 


Agile@scale 


Migration fan azon : | : 
program o QUEUES H x : 
Go agile € 
Š É | Product oriented, Digital adoption measure 
- ` : tD Digital Factory >100 headcount 
: Experiment : = Digital talent programs 


Digital Ambassadors & Global Digital community 


3 Public Cloud platforms & contracts 


+250 messaging systems 
12,000 servers 


nes 2012 2013 2014 2015 2016 2017 2018 2020 
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[ missions de la cybersécurité Veolia 


Identifier les risques et les menaces cyber 
Prévenir l'apparition d'incidents 


Développer la formation des utilisateurs 


Monitorer la sécurité des SI 
Gérer les incidents et crises de cybersécurité 


Développer des plans de continuité et de secours 


Ti 


Suivre l'évolution des menaces et des vulnérabilités 
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L'organisation cybersécurité Veolia SE 
SECURITY 


Président Veolia 


Secrétaire Général Veolia 
Directeur de la Sûreté Veolia Directeur Informatique Veolia 
1 
l 


Directeur de la Cybersécurité 
Veolia 


Afrique 
& Moyen 
Orient 


Eau Propreté Europe du Europe Amérique 
France France Nord Centrale du Nord 


Entreprise Corporate 
s Globales & Groupe 
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L'organisation cybersécurité Veolia GERS 
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L'organisation cybersécurité Veolia EDS 
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Qui fait quoi ? 


En charge de définir, supporter et suivre la mise en oeuvre de la politique de 
Cybersécurité Groupe cybersécurité Veolia dans les entités 


D En charge de la mise en oeuvre de la politique de cybersécurité sur son entité. 
RSSI pays / entité 
= 


Report la mise en oeuvre effective et les progrès au DSSI Groupe. 


| l En charge de la mise en oeuvre de la sécurité opérationnelle au sein des 
Equipes informatiques infrastructures et des applications locales. 
locales 


CSec (Communauté En charge d'améliorer l'efficacité globale de la cybersécurité par l'échange et la 
Cybersécurité Veolia) zs mise en réseau d'informations, d'expériences et de compétences 
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Service de scan de vulnérabilités Veolia SE hp 
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Global trend vulnerability evolution through the year 


© Scans externes de vulnérabilité 20.00% = Tot 


. s 15.00% 
Scan mensuel de toutes les infrastructures Veolia 
exposées sur Internet. ox 


Environ 2000 systèmes dans plus de 30 pays. 


Total 


Suivi des vulnérabilités et des plans d'actions 5.00% 
O ER >0 
> z LA 3823352 32 
© Scans internes de vulnérabilité ` 
Disponible sur demande du RSSI de l'entité = HA HR ales 
Coût des licences pris en charge par l'équipe p= A LS o. NA A 
cybersécurité Groupe E AA AA. AR TE LE. 
Autonomie des équipes locales pour gérer les ° AEE 1 AE TARERE. 
scans G 40 o 3 o 3 o o o 3 
8 678 29 160 21 50 30 142 26 17 
| i 252 14 33 13 12 1 44 3 2 
UQIYS. © oo a 
a] >. 5 5 Š 5 s 5 x i 
July 2101 | 129 | 557 92 16 
O SECURITY Difference 58% -84% -51% 45% | 9.3% 
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Des besoins attendus et identifiés CES 
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Proposer une Identifier rapidement les 
interface simple et serveurs vulnérables a 
synthétique avec les mettre à jour et/ou à 
informations isoler 

collectées 

Identifier des points de Avoir un impact fort 
vigilance et des auprès des DSI, RSSI & 
vulnérabilité de notre directeurs de zones/ 


S| business units 
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Quelques données clés SE 
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* 11 500 serveurs 


Reger e Un RSSI rattaché à la Postes de 
AH Direction Informatique travail & * 74.000 postes de travail 

* Temps plein ou partiel serveurs e Répartition mondiale 
gouvernance suivant la taille et les enjeux 


e Une équipe cybersécurité 


X dans les grandes entités — 


* Suivant le taille de l'entité et des e AWS 
risques locaux Data center +. GCP 

+ Entre 2 et 10% du budget IT local prats emana 
(moyenne Veolia 4,6%) NES cla 


> 


OL 
wwamazon 


ö up webservices 
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Chiffres clés sur la configuration de Qualys 
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~ 7 000 IP scannées 
au niveau groupe 
(dont ~2 000 IP 


Découpage par 
unité 


z publiques) : : organisationnelle 
IP scannées & Organisation (OU) 
~ 4000 IP scannées 122 utilisateurs VM 
de manière & CA 


| décentralisée 


Activation de 

ThreatProtect sur 
toutes les IP 

ThreatProtect externos 

Veille active sur les 

alertes 


VM 
2 steel eee ae f Administration de la 
OMIS Threatrrotect ol plateforme au 
CloudAgent niveau groupe 


(serveurs critiques) 
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Droits d'accès 


Scans mensuel sur 
les IP externes fait 
par le groupe 
Scans interne gérés 
par les entités 


| Gestion des droits 


| (BU) 


| obligatoire 


par Business unit 


Activation de la 2FA 


cat | DA 
Processus de communication actuel € bilan SE 
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Des rapports mensuels fournis == === 
aux correspondants RSSI pour CCS E = = 
les IP externes 5 Š res 


Une mise en action poussive  _ 
pour corriger les vulnérabilités tr nn 


> MMM 3: Web Server Uses Plain-Text Form Based Authentication 
> MMM 3 SSL Server Supports Weak Encryption Vulnerability 


> aan 3 SSL Server May Be Forced to Use Weak Encryption Vulnerability 
on Atha > MI 3 SSUTLS use of weak RCA cipher 
Manque de visibilité pour le > MIN]? sti putang Once men D ni 9000 
» nnu 3 SSUTLS Server supports TLSv1.0 


management avec une vue trop > MMM 3 Birthday attacks against TLS ciphers with 64bit block size vulnerability (Sweet: 14141 


> 1 Windous Vista / Windows 2008 / Windows 7 / Windows 2012 / Windows 8 
> MAN 3 SSLv3.0/TLSv1.0 Protocol Weak CBC Mode Server Side Vulnerability (BEAST 1 hrud 2d00[setvibe Pech $ 
technique > MM 2 HTTP Security Header Not Detected 
> = 2 HTTP Security Header Not Detected 
> MM 2 AutoComplete Attribute Not Disabled for Password in Form Based Authenticat 
» i 2 HTTP Security Header Not Detected x ~- amaa — ee ae 
> m Microsoft ASPNET Custom Errors Found Tumed Off 012345678 9 10 11 12 13 14 15 16 17 18 19 20 21 22 2324 
» MM 2 Session Cookie Does Not Contain the "Secure" Attribute 


11 Windows 2012 Standard 
4 Windows 2008 R2 Standard Service Pack 1 
3 Windows 2009 R2 Service Pack 2 

3 Windows 2006 Service Pack 1 


À Windows 2008 R2/7 
1 Windous 2009 Service Pack 2 
1 Windows Vista / Windous 2006 / Windows 7 / Windows 2012 / Windows 8 / Windows 10 
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Les synthèses mensuelles ADA 
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Information éparpillée, peu 
© synthétique et sans contexte 


= Funds 30407 o : ] rara radio 
tone Aag Fixed last 30 days 
E M e- 
. oye . = 2 Global trend vulnerability evolution the 
Faible utilisation et donc peu : : LP nu 
d'impact auprès des DSI & ma te 
directeurs de zones/BU s ; a 
ony my 10 2 RBESS22TESTRSNSENST 
bor 
O Solutions non unifiées res Security Dashboard | sepas | = | zone corey Er | 
Workstations Servers 
5 ers on 71 068 11420 
MAA RTS. | 
A zone = u “ s “ s m nu son een = Workstations obsolescence Servers obsolescence 
sh HA 2.35% 14.20% 
F 40 o 3 o 3 3 o o o o = LS Les 
6 678 29 160 21 so 37 152 30 142 26 17 es] Put 
H 46 9 53 9 7 6 56 0 59 0 3 Brom 2 
(i 46 2 10 2 3 1 LL o 12 + o Bmw 
J 252 14 3 1 12 14 3 1 44 3 2 LS 
K 154 3 12 2 6 2 a 3 12 16 o 
|t Y 13 15 16 a 7 12 19 o 3 2 o 
M 56 0 o 0 o o o 0 o o o 
(©) E RITY Total j me 119 530 ss 150 | 120 529 st 557 74 a 
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Quelles sont nos problématiques ? CES 
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Comment faciliter et 


© Comment améliorer la 
améliorer la visibilité des 


visibilité aux directions 


et aux équipes ? vulnérabilités à corriger ? 
S Comment gérer Comment faciliter 

l'identité de l'utilisateur l'intégration des assets 

et filtrer les données Amazon 

visibles ? 
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Dashboard accessible en Une mise à jour 
ligne et scalable en automatisée via l'API et 
fonction du besoin une consolidation des KPI 


Impact important dans 
les comités de pilotage 


Une gestion des accès et 
des filtrage réalisés via 
SSO 


© ace æ” Data Studio 
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Fonctions de découvertes - Connecteurs AWS ADA 
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Vérification des Os Découverte sutomatises © 
politiques appliquées © «ce instances AWS 

sur AWS CloudView AssetView 


Scan interne & externe de Scan externe de nos 
nos instances AWS (EC2 & instances EC2 


ELB) VM CloudPerimeter 
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Une vision globale et a jour de l'état du parc CES. 
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IS Security Global security dashboard cen.. (1) - Entity x Country - Automatically 
updated 


hosts scanned last 30 days 


259 


Vulnerable host (critical vuln.) 


22 


Vulnerable host (high vuln.) 


48 


Active vulnerabilities 5&4 § Vulnerabilities fixed New vuln. (high & critical) 


225 


Vulnerabilities fixed per entity New vulnerabilities per entity © 
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Détails sur les vulnérabilités GES 
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IS Security Global security dashboard »- Country - Entity - Automatically 
updated 


Vulnerability details with status 


@a 
Oc 
Os 
Op 
O br 
O ar 
Oct 


Title Severity € CVSS @ Occurence 
EOL/Obsolete Software: Apache HTTP Server 2.2.x Practice 5 9 1 
EOL/Obsolete Software: PHP 5.5.x Detected Practice 5 8.5 1 
PHP Python Extension safe_mode Restriction Bypass Vulnerability Practice 4 81 1 
Cisco Adaptive Security Appliance Remote Code Execution and Denial of S.. Practice 5 78 1 
PHP Multiple Remote Code Execution Vulnerabilities (GHOST) Practice 4 78 1 
Apache HTTP Server Prior to 2.2.15 Multiple Vulnerabilities Practice 4 78 1 
PHP Versions Prior to 5.2.12 Multiple Vulnerabilities Practice 3 78 1 
PHP Versions Prior to 5.6.18/5.5,32 Multiple Vulnerabilities Practice 4 74 1 
PHP Versions Prior to 5.6.10/5.5.26/5.4.42 Multiple Vulnerabilities Practice 4 74 1 
PHP mbstring Extension Buffer Overflow Vulnerability Practice 3 74 1 
APR-util Library Integer Overflow Vulnerabilities Practice 3 74 1 
PHP cURL safe_mode and open_basedir Restriction Bypass Vulnerability Practice 4 69 1 
SSH Protocol Version 1 Supported Vuln 4 68 1 
SSL Server Supports Weak Encryption Vulnerability Vuln 3 67 2 
PHP Denial of Service and Code Execution Vulnerability Practice 3 64 1 
PHP Denial of Service and Code Execution Vulnerability Practice 3 64 1 
OpenSSH Multiple Vulnerabilities Practice 4 6.3 1 


O 1-50/147 < > 
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Des tendances automatisées GES 
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IS Security Global security dashboard Country Entity 
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—®@ Vulnerable hosts W] New vulnerabilities D Fixed vulnerabilities 


2.5K 
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Hosts scanned 


500 


0 
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—- Hosts scanned 
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Perspectives 2019 GES 
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Ajout de notre politique 
de sécurite AWS sur 
CloudView 


Généralisation de l'agent 
sur nos assets critiques 


Intégration de nos Corrélation de nos 
seves GCP sur données Qualys avec 
Qualys notre service SOC 
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